OAuth 2.0 är en standard som låter en tjänst få begränsad åtkomst till uppgifter eller funktioner hos en annan tjänst, utan att användarens lösenord någonsin lämnas vidare. Tänk på en app som får hämta din kalender: du godkänner just det, appen får en nyckel för just det, och ditt lösenord stannar där det hör hemma.
Vad den löser
Innan sådana standarder fanns var det vanligt att en tjänst bad om lösenordet till en annan tjänst för att komma åt dess data. Det gav den första tjänsten långt mer makt än den behövde. OAuth 2.0 vänder på det: användaren godkänner en avgränsad åtkomst, och tjänsten får ett tidsbegränsat bevis, ett så kallat token, i stället för lösenordet.
Behörighet, inte identitet
Det är viktigt att skilja på vad OAuth 2.0 gör. Standarden svarar på frågan "vad får den här tjänsten göra?", alltså behörighet. Den är inte i sig byggd för att på ett säkert sätt svara på "vem är användaren?". För det lades OpenID Connect ovanpå OAuth 2.0, som ett lager som hanterar just identiteten.
Token som går att återkalla
En av styrkorna är att ett token kan vara kortlivat och avgränsat till exakt det som behövs, och det kan dras tillbaka utan att man behöver byta lösenord. Läcker ett token slutar det snart att gälla ändå, och skadan blir mindre än om ett lösenord hade lämnats ut.